Διαχείριση Κινδύνου Insider

Οι λέξεις έχουν σημασία. Μια απειλή insider υπονοεί δυαδική κατάσταση: ένα άτομο είτε είναι απειλή είτε όχι. Ο κίνδυνος insider είναι φάσμα. Όποιος έχει πρόσβαση φέρει κάποιο επίπεδο κινδύνου, και αυτό το επίπεδο αλλάζει με τη συμπεριφορά, τις περιστάσεις και το πλαίσιο. Η διαχείριση κινδύνου insider μετρά και διαχειρίζεται αυτό το φάσμα, αντί να περιμένει να εμφανιστεί μια σαφής «απειλή».

Τα ώριμα προγράμματα λειτουργούν έτσι στην πράξη. Δεν περιμένουν κλοπή δεδομένων για να αντιδράσουν. Παρακολουθούν δείκτες συμπεριφοράς, αντιμετωπίζουν πρώτα τις περιπτώσεις υψηλότερου κινδύνου και ερευνούν πριν προκληθεί ζημιά. Άλλοτε η απάντηση είναι τεχνική, όπως ο αποκλεισμός πρόσβασης. Άλλοτε είναι συζήτηση με τη διοίκηση και το HR. Άλλοτε σημαίνει να κλείσει ένα κενό διαδικασίας που δημιουργούσε περιττό κίνδυνο.

Ένα λειτουργικό πρόγραμμα έχει πέντε στοιχεία, από τη συλλογή δεδομένων έως τη συνεχή βελτίωση. Το πρώτο στάδιο στηρίζεται σε σήματα από την παρακολούθηση δραστηριότητας χρηστών (UAM) και την πρόληψη απώλειας δεδομένων (DLP).

1. 1

   Παρακολούθηση και συλλογή δεδομένων

   Η βάση: παρακολούθηση δραστηριότητας, σήματα DLP, αρχεία πρόσβασης και αναλυτικά συμπεριφοράς (UEBA). Χωρίς ορατότητα δεν υπάρχει πρόγραμμα.

2. 2

   Βαθμολόγηση και ιεράρχηση κινδύνου

   Τα ακατέργαστα δεδομένα παρακολούθησης είναι θόρυβος. Τα σήματα συνδυάζονται σε βαθμολογίες κινδύνου. Ένας χρήστης που κατεβάζει μαζικά αρχεία εκτός ωραρίου, έχει πρόσβαση σε δεδομένα εκτός του ρόλου του και έχει υποβάλει παραίτηση, αποτελεί μεγαλύτερο κίνδυνο από κάποιον με ένα μόνο σήμα.

3. 3

   Διερεύνηση

   Οι αναλυτές εξετάζουν το ιστορικό δραστηριότητας και εντοπίζουν το πλαίσιο: αλλαγή ρόλου, πρόβλημα απόδοσης ή νόμιμη επιχειρησιακή ανάγκη. Η ενέργεια βάσει ακατέργαστων ειδοποιήσεων χωρίς διερεύνηση οδηγεί σε άδικες κατηγορίες και υπονομεύει την εμπιστοσύνη.

4. 4

   Απόκριση και παρέμβαση

   Οι απαντήσεις κυμαίνονται από αυστηρότερη παρακολούθηση και περιορισμό προνομίων έως συνάντηση με HR ή ασφάλεια και πειθαρχικά ή νομικά μέτρα. Η απάντηση πρέπει να είναι ανάλογη του κινδύνου και να βασίζεται σε τεκμήρια.

5. 5

   Διακυβέρνηση και αναθεώρηση

   Η ασφάλεια πληροφορικής δεν μπορεί να διευθύνει μόνη της το πρόγραμμα: το HR παρέχει το πλαίσιο του προσωπικού, η νομική υπηρεσία καλύπτει την ιδιωτικότητα και τα τεκμήρια, και η διοίκηση ορίζει τα όρια. Μετά από κάθε περίπτωση, η ομάδα ελέγχει αν λειτούργησαν η ανίχνευση και η απόκριση.

Ένα πρόγραμμα που πάει πολύ μακριά δημιουργεί δικούς του κινδύνους. Η παρακολούθηση χωρίς ενημέρωση, η συλλογή δεδομένων πέρα από τον σκοπό ασφάλειας ή η ενέργεια με ισχνά τεκμήρια μπορούν να επιφέρουν νομική ευθύνη, δυσπιστία του προσωπικού και ζημιά στη φήμη. Οι ορθές πρακτικές, και σε πολλές δικαιοδοσίες ο νόμος, απαιτούν αυτές τις αρχές:

• Διαφάνεια: οι εργαζόμενοι γνωρίζουν τι παρακολουθείται και γιατί.
• Νόμιμος σκοπός: το πρόγραμμα εξυπηρετεί την ασφάλεια και τη συμμόρφωση, όχι τη μικροδιαχείριση ή την επιτήρηση.
• Αναλογικότητα: το εύρος αντιστοιχεί στον κίνδυνο. Δεν παρακολουθούνται όλοι με πλήρη λεπτομέρεια.
• Έλεγχος πρόσβασης: μόνο εξουσιοδοτημένοι ρόλοι βλέπουν τα δεδομένα παρακολούθησης, υπό καθορισμένες συνθήκες.
• Δίκαιη διαδικασία: η διερεύνηση επιβεβαιώνει το πλαίσιο πριν από κάθε ενέργεια, και το άτομο μπορεί να απαντήσει.

Διαχείριση κινδύνου insider έναντι ανίχνευσης απειλών insider. Η ανίχνευση είναι ένα στοιχείο: εντοπίζει τα σήματα. Η διαχείριση είναι το ευρύτερο πρόγραμμα που αποφασίζει τι να γίνει με αυτά. Η ανίχνευση χωρίς διαχείριση σημαίνει ειδοποιήσεις που κανείς δεν αντιμετωπίζει. Η διαχείριση χωρίς ανίχνευση δεν είναι δυνατή.

Διαχείριση κινδύνου insider έναντι DLP. Το DLP είναι προληπτικός έλεγχος: σταματά τα ευαίσθητα δεδομένα να φύγουν. Η διαχείριση κινδύνου insider είναι ευρύτερη. Λαμβάνει υπόψη το πλαίσιο συμπεριφοράς, την πρόθεση και την αντίδραση του οργανισμού, όχι μόνο το γεγονός της μεταφοράς. Το DLP τροφοδοτεί το πρόγραμμα με σήματα.

Διαχείριση κινδύνου insider έναντι παρακολούθησης εργαζομένων. Η επιτήρηση είναι αδιάκριτη παρατήρηση. Η διαχείριση κινδύνου insider είναι παρακολούθηση με βάση την προτεραιότητα του κινδύνου και συνδεδεμένη με σκοπό, με διακυβέρνηση, αναλογικότητα και νομική συμμόρφωση. Η διαφορά είναι ηθική και νομική. Πολλές δικαιοδοσίες περιορίζουν την παρακολούθηση εργαζομένων σε καθορισμένους, νόμιμους σκοπούς και απαιτούν να ενημερώνονται οι εργαζόμενοι.

Τέσσερα μέτρα δείχνουν αν ένα πρόγραμμα λειτουργεί. Ένα υψηλό ποσοστό ψευδώς θετικών σπαταλά τον χρόνο των αναλυτών και υπονομεύει την εμπιστοσύνη. Η κατανομή των αποτελεσμάτων δείχνει αν το πρόγραμμα είναι σωστά βαθμονομημένο.

• Μέσος χρόνος ανίχνευσης: πόσο γρήγορα εντοπίζεται η επικίνδυνη συμπεριφορά από τη στιγμή που ξεκινά.
• Ποσοστό ψευδώς θετικών: το μερίδιο των επισημασμένων περιπτώσεων που αποδεικνύονται νόμιμη δραστηριότητα.
• Αποτελέσματα κλεισίματος υποθέσεων: πόσες περιπτώσεις οδήγησαν σε παρέμβαση, σε καμία ενέργεια ή σε επιβεβαιωμένα περιστατικά.
• Κάλυψη: το μερίδιο του σχετικού προσωπικού και των καναλιών δραστηριότητας υπό παρακολούθηση.

Η λειτουργία ανίχνευσης απειλών insider ομαδοποιεί τα περιστατικά ανά επίπεδο κινδύνου, ώστε ο αναλυτής να βλέπει πού συγκεντρώνονται τα γεγονότα υψηλότερου κινδύνου. Κάθε κατηγορία κινδύνου έχει επίσης ένα προεπιλεγμένο επίπεδο κινδύνου, ορατό στον διαχειριστή κατηγοριών.

1 / 2

• 
• 

Ξεκινήστε από τα δεδομένα των οποίων η διαρροή θα έβλαπτε περισσότερο, και στη συνέχεια χαρτογραφήστε τα κανάλια από τα οποία θα μπορούσαν πραγματικά να διαρρεύσουν. Ορίστε τον σκοπό και τα όρια πριν από την πρώτη ειδοποίηση, γιατί ένα πρόγραμμα χωρίς αυτά ολισθαίνει προς την επιτήρηση.

Κάθε κλεισμένη υπόθεση τροφοδοτεί πάλι τα όρια, έτσι ώστε το πρόγραμμα να μαθαίνει ποια σήματα έχουν πραγματική σημασία.

Περισσότερα: Πώς να αναγνωρίσετε έναν insider σε μια εταιρεία και να αποτρέψετε τη δραστηριότητά του;; Πώς εντοπίζει ένας υπεύθυνος ασφαλείας έναν insider με το σύστημα DLP;.